Ferramentas / SPF, DKIM e DMARC

✉️ Verificador de SPF, DKIM e DMARC

Confira se o seu domínio está protegido contra spoofing de e-mail e se seus envios têm menos chance de cair em spam. Os três registros trabalham juntos: SPF diz quem pode enviar em nome do domínio, DKIM assina os e-mails digitalmente, e DMARC define o que fazer quando algo não bate.

Verificando SPF, DKIM e DMARC...

☁️ Esta verificação é feita pelo nosso servidor no momento da consulta. Não armazenamos o domínio verificado nem os resultados exibidos — apenas um contador agregado de quantas vezes a ferramenta foi usada.

Como interpretar o resultado

Os três registros se complementam e nenhum deles resolve o problema sozinho:

  • SPF é um registro TXT na raiz do domínio que lista quais servidores podem enviar e-mail em seu nome. O final do registro diz o que fazer com o resto: -all (rejeitar), ~all (marcar como suspeito) ou ?all (neutro, praticamente inútil).
  • DKIM é uma assinatura digital adicionada pelo servidor de envio. A chave pública fica em um registro do tipo seletor._domainkey.seudominio.com.br. Esta ferramenta testa os seletores mais comuns (selector1, selector2, google, default, k1 e outros). Se o seu provedor usa um seletor personalizado, o DKIM pode existir mesmo aparecendo como "não encontrado".
  • DMARC é um registro TXT em _dmarc.seudominio.com.br que diz aos servidores de destino o que fazer quando SPF e DKIM falham, e para onde enviar relatórios. A política pode ser p=none (só monitora), p=quarantine (manda para o spam) ou p=reject (recusa a mensagem).

Desde 2024, Google e Yahoo exigem SPF ou DKIM de qualquer remetente e DMARC de quem envia grandes volumes. Na prática, um domínio sem os três tem mais chance de cair no spam em qualquer provedor.

Como corrigir cada caso

SPF não encontrado

Crie um registro TXT no nome @ (raiz do domínio) com os provedores que realmente enviam e-mail por você. Exemplos:

Microsoft 365:     v=spf1 include:spf.protection.outlook.com -all
Google Workspace:  v=spf1 include:_spf.google.com ~all
M365 + site/CRM:   v=spf1 include:spf.protection.outlook.com include:servidor-do-crm.com -all

Lembre de incluir todo sistema que envia e-mail com o seu domínio no remetente: CRM, ERP, plataforma de e-mail marketing, formulário do site, nota fiscal.

DKIM não encontrado

O DKIM é ativado no painel do provedor de e-mail, que gera os valores a publicar no DNS:

  • Microsoft 365: no portal do Defender, em Políticas de e-mail > DKIM, selecione o domínio, crie os dois registros CNAME (selector1._domainkey e selector2._domainkey) e ative a assinatura.
  • Google Workspace: no Admin Console, em Apps > Gmail > Autenticar e-mail, gere a chave e publique o TXT google._domainkey.
  • Hospedagem cPanel: em E-mail > Capacidade de entrega de e-mail, o cPanel mostra o registro DKIM sugerido e, se o DNS estiver no próprio servidor, instala com um clique.

DMARC não encontrado ou com p=none

Comece monitorando, sem bloquear nada:

Nome:  _dmarc
Tipo:  TXT
Valor: v=DMARC1; p=none; rua=mailto:dmarc@seudominio.com.br

Acompanhe os relatórios por 2 a 4 semanas para descobrir quais sistemas enviam e-mail em seu nome e ainda falham no SPF ou DKIM. Corrigidos esses casos, suba para p=quarantine e depois para p=reject. Ficar em p=none para sempre não protege contra quem falsifica o seu domínio.

Onde editar os registros

  • Registro.br: em Domínios, abra o domínio e use "Editar zona" (só funciona se o DNS estiver no próprio Registro.br).
  • Cloudflare: DNS > Records > Add record.
  • cPanel: Domínios > Zone Editor > Gerenciar.

Para saber onde o seu DNS está hospedado, consulte os registros NS no Verificador de DNS.

Erros comuns

  • Dois registros SPF no mesmo domínio. Só pode existir um. Com dois, o SPF inteiro é considerado inválido. Junte os include em uma única linha.
  • Mais de 10 consultas DNS no SPF. Cada include, a, mx e redirect conta. Acima de 10, o SPF falha com "permerror". Remova provedores que não usa mais.
  • DMARC sem rua. Sem o endereço de relatório, você não vê quem está falhando e nunca vai ter segurança para endurecer a política.
  • Esquecer os subdomínios. Por padrão, o DMARC do domínio principal vale para os subdomínios, mas um subdomínio com envio próprio (por exemplo news.seudominio.com.br) precisa do próprio SPF e DKIM.

Perguntas frequentes

Preciso dos três registros ou só o SPF basta?

Precisa dos três. O SPF valida o servidor, mas não protege o endereço que aparece no campo "De". O DKIM garante que a mensagem não foi alterada. O DMARC é o que liga os dois ao remetente visível e diz o que fazer quando falham. Os grandes provedores já tratam a falta de qualquer um deles como sinal de risco.

A ferramenta disse que não tenho DKIM, mas meu provedor diz que está ativo. Quem está certo?

Provavelmente os dois. A ferramenta testa apenas os seletores mais comuns, e o DKIM só pode ser consultado se o seletor for conhecido. Abra o cabeçalho de um e-mail enviado pelo seu domínio e procure o campo DKIM-Signature: o valor depois de "s=" é o seletor que o seu provedor usa.

Mudar o DMARC para p=reject pode bloquear meus próprios e-mails?

Pode, se algum sistema que envia em seu nome (CRM, nota fiscal, formulário do site) não estiver no SPF nem assinando com DKIM. Por isso o caminho seguro é começar com p=none, ler os relatórios, corrigir os remetentes e só então endurecer a política.

Quanto tempo leva para a alteração aparecer?

Depende do TTL do registro, normalmente entre alguns minutos e algumas horas. Se depois de 24 horas a ferramenta ainda não mostrar a mudança, confira se você editou a zona no provedor de DNS que está de fato ativo (veja os registros NS).